Het Rijkscloudbeleid 2026 is het herziene kader waarmee de Nederlandse rijksoverheid verplichtingen oplegt aan ministeries, uitvoeringsorganisaties en zelfstandige bestuursorganen (ZBO’s) bij het gebruik van publieke clouddiensten van niet-EER-leveranciers. Het beleid is de operationele vertaling van een bredere politieke beweging richting digitale soevereiniteit, en heeft directe gevolgen voor organisaties die nu nog werken met diensten als Microsoft 365 of Google Workspace voor kerntaken.
Wat het herziene Rijkscloudbeleid 2026 concreet verandert
Het bijgewerkte beleid introduceert voor het eerst expliciete drempelwaarden en procesverplichtingen voor het gebruik van publieke clouddiensten door kritieke rijksorganisaties. Waar eerder werd volstaan met risicoafwegingen op projectniveau, schrijft het herziene kader nu voor dat organisaties voorafgaand aan elke nieuwe cloudingebruikname een formele cloudstrategie en een bijbehorend exitplan moeten hebben vastgesteld.
Concreet worden e-mail, documentbeheer en samenwerkingsplatformen aangemerkt als diensten met nationale belang. Dat betekent dat het gebruik van niet-EER-publieke clouddiensten voor deze functies expliciet wordt afgeraden en alleen nog mogelijk is met een gedocumenteerde risicoafweging op bestuurlijk niveau, goedgekeurd door de verantwoordelijke CISO en gemeld bij SSC-ICT. Voor nieuwe aanbestedingen geldt de strengere norm direct; bestaande contracten moeten worden geëvalueerd bij de eerstvolgende verlengingsdatum.
Waarom e-mail en documentbeheer nu als nationale belang gelden
E-mail en documentbeheer zijn niet langer beschouwd als generieke IT-voorzieningen, maar als kritieke informatieinfrastructuur. De redenering achter deze herkwalificering is tweeledig: jurisdictierisico en systeemafhankelijkheid.
Het jurisdictierisico is direct verbonden aan de Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018). Die wet verplicht Amerikaanse bedrijven, inclusief Microsoft en Google, om op vordering van Amerikaanse autoriteiten gegevens te verstrekken, ongeacht waar die data fysiek is opgeslagen. Dit is onverenigbaar met artikel 48 van de AVG, dat overdracht van persoonsgegevens op basis van een buitenlandse rechterlijke last zonder Europese rechtsbasis verbiedt.
“De CLOUD Act geeft Amerikaanse autoriteiten de bevoegdheid om data op te eisen bij Amerikaanse bedrijven, ongeacht waar die data fysiek is opgeslagen. Dat is onverenigbaar met GDPR-verplichtingen voor overheidsdata.”
Max Schrems, privacy-advocaat en oprichter van noyb (None Of Your Business)
Het systeemafhankelijkheidsrisico betreft het feit dat migratie weg van een dominante leverancier als Microsoft 365 voor een overheidsorganisatie jaren in beslag kan nemen. Bij een politieke of commerciële verslechtering van de relatie met die leverancier, of bij een leveranciersconflict, staat de overheid dan tijdelijk zonder werkende communicatie-infrastructuur. Het beleid wil deze lock-in doorbreken door exitplannen verplicht te stellen nog vóórdat een dienst in gebruik wordt genomen.
De verplichte cloudstrategie en het exitplan: wat moet erin staan
Een cloudstrategie in de zin van het Rijkscloudbeleid 2026 is meer dan een architectuurschets. Het document moet minimaal bevatten: een classificatie van de te verwerken data (BIV-labeling), een juridische analyse van de toepasselijke jurisdicties van de gekozen leverancier, een risicobeoordeling conform de BIO, en een beschrijving van het toezichtarrangement op de leverancier.
Het exitplan is een zelfstandig bijlage en beschrijft hoe de organisatie de dienst kan verlaten zonder verlies van data of continuïteit. Minimale inhoud: een inventarisatie van alle datastromen en afhankelijkheden, een migratieroute naar een alternatieve (bij voorkeur EER-gebaseerde of on-premise) oplossing, een verantwoordelijkheidsmatrix en een realistische tijdlijn. SSC-ICT biedt hiervoor sjablonen en adviestrajecten aan rijksorganisaties.
Relatie met de Visie Digitale Autonomie en de Nederlandse Digitaliseringsstrategie
Het Rijkscloudbeleid 2026 is geen op zichzelf staand document. Het is de uitvoeringslaag onder twee bredere beleidskaders: de Visie Digitale Autonomie en Soevereiniteit van de overheid (gepubliceerd december 2025) en de Nederlandse Digitaliseringsstrategie (NDS).
De Visie Digitale Autonomie en Soevereiniteit, gepubliceerd onder verantwoordelijkheid van Staatssecretaris Aerdts (Digitale Economie en Soevereiniteit), formuleert het principe dat de Nederlandse overheid de regie moet behouden over haar eigen digitale infrastructuur en data. Het document identificeert drie risicovectoren: juridische afhankelijkheid van buitenlandse wetgeving, technische lock-in bij dominante leveranciers, en het ontbreken van Europese alternatieven op schaal.
“Digitale soevereiniteit is geen luxe maar een noodzaak. Overheidsdata mag niet afhankelijk zijn van juridische kaders buiten onze eigen rechtsmacht.”
Staatssecretaris Zsolt Szabó, Tweede Kamerstuk over digitale autonomie
De NDS plaatst digitale autonomie in een breder economisch en geopolitiek kader: Nederland moet minder kwetsbaar worden voor verstoringen in internationale toeleveringsketens voor digitale diensten. Het Rijkscloudbeleid 2026 vertaalt dit naar concrete inkoopregels en complianceverplichtingen voor de dagelijkse praktijk.
Vergelijking: situatie voor en na het herziene beleid
| Aspect | Situatie vóór 2026 | Situatie na Rijkscloudbeleid 2026 |
|---|---|---|
| E-mail en documentbeheer | Generieke IT-dienst, geen specifiek cloudverbod | Aangemerkt als nationale belang, niet-EER publieke cloud afgeraden |
| Exitplan | Optioneel, projectafhankelijk | Verplicht vóór ingebruikname van elke publieke clouddienst |
| Risicoafweging niet-EER-leverancier | Op werkniveau, informeel | Bestuurlijk niveau, gedocumenteerd, gemeld bij SSC-ICT |
| Toetsing bij verlenging | Niet verplicht | Verplichte herbeoordeling bij iedere contractverlenging |
| Wbni-koppeling | Indirect via BIO | Expliciet verankerd in de cloudstrategie-eisen |
Praktische gevolgen voor huidige Microsoft 365- en Google Workspace-gebruikers
Organisaties die nu Microsoft 365 of Google Workspace gebruiken voor kerntaken zoals e-mail, documentbeheer en vergaderfaciliteiten, worden geconfronteerd met drie directe actiepunten.
Ten eerste moeten zij vóór de eerstvolgende contractverlenging een formele risicoafweging documenteren en goedkeuren op bestuurlijk niveau. Daarin moet worden aangetoond dat het gebruik van de betreffende niet-EER-dienst voor de betreffende kerntaak gerechtvaardigd is, en welke compenserende maatregelen zijn getroffen om het jurisdictierisico te beheersen. Microsoft biedt via zijn EU Data Boundary-programma gedeeltelijke mitigatie, maar juridische experts, waaronder het European Data Protection Board (EDPB), zijn consistent kritisch over de vraag of dit de CLOUD Act-kwetsbaarheid volledig opheft.
Ten tweede moeten zij een exitplan opstellen voor de betreffende dienst. Dit is niet hetzelfde als een migratieplanning: het is een stand-alone document dat beschrijft hoe de organisatie de dienst kan verlaten en welke alternatieve oplossingen beschikbaar zijn. Alternatieven die in overheidscontexten regelmatig worden geëvalueerd, zijn Nextcloud (als soevereine samenwerkingsomgeving), on-premise Microsoft-hosting via SSC-ICT, of EER-gebaseerde SaaS-alternatieven die voldoen aan ISO 27001 en de BIO.
Ten derde moeten organisaties hun Wbni-compliancestatus opnieuw beoordelen in het licht van de nieuwe cloudclassificaties. De Wet beveiliging netwerk- en informatiesystemen implementeert de Europese NIS2-richtlijn en stelt eisen aan aanbieders van essentiële diensten, waaronder overheidsorganisaties. Het gebruik van een niet-EER-cloudleverancier voor kritieke processen kan een bevindingspunt opleveren bij een Wbni-audit.
Statistisch gezien is de urgentie reëel. Het NCSC rapporteerde in 2024 dat ransomware-aanvallen op Nederlandse overheidsorganisaties met 35 procent waren gestegen ten opzichte van 2023. Publieke cloudplatformen van grote leveranciers zijn daarbij zowel aanvalsvector als afhankelijkheidspunt.
Daarnaast: ENISA stelde in 2023 vast dat meer dan 90 procent van de Europese overheidsorganisaties cloudinfrastructuur gebruikt van buiten de EU, voornamelijk van Amerikaanse hyperscalers. En de Europese Commissie schatte in 2022 dat de publieke sector in Europa jaarlijks meer dan 50 miljard euro uitgeeft aan ICT-diensten, waarvan een substantieel deel naar niet-Europese cloudleveranciers gaat.
Decentrale overheden en ZBO’s: buiten beleid, toch binnen kader
Het Rijkscloudbeleid 2026 heeft een formeel beperkt toepassingsbereik: het richt zich op ministeries, agentschappen en ZBO’s die rechtstreeks onder rijksverantwoordelijkheid vallen. Gemeenten, provincies, waterschappen en andere decentrale overheden vallen daar niet automatisch onder.
Toch is dit geen reden voor decentrale overheden om het beleid te negeren. In de eerste plaats zijn zij via de BIO al gebonden aan informatiebeveiligingseisen die vergelijkbare risicoafwegingen vereisen bij cloudgebruik. In de tweede plaats verwijst de Visie Digitale Autonomie en Soevereiniteit expliciet naar de hele overheid, inclusief decentrale lagen. In de derde plaats stelt de Wbni eisen aan alle aanbieders van essentiële diensten, ongeacht de bestuurslaag.
Praktisch gezien kunnen decentrale overheden aansluiting zoeken via drie routes: deelname aan de Gemeentelijke Gemeenschappelijke Infrastructuur (GGI), gebruikmaking van centraal onderhandelde contracten via de Informatiebeveiligingsdienst (IBD) van de VNG, of directe aansluiting bij SSC-ICT voor gedeelde cloudinfrastructuur. Al deze routes leiden naar oplossingen die zijn getoetst aan de BIO en compatibel zijn met de NDS-doelstellingen.
FAQ
Geldt het Rijkscloudbeleid 2026 ook voor gemeenten en provincies?
Formeel niet. Het Rijkscloudbeleid richt zich op ministeries, uitvoeringsorganisaties en ZBO’s die onder de rijksverantwoordelijkheid vallen. Gemeenten en provincies vallen buiten het directe toepassingsbereik, maar kunnen via de Informatiebeveiligingsdienst (IBD) en de Baseline Informatiebeveiliging Overheid (BIO) aansluiting zoeken bij vergelijkbare kaders.
Moeten rijksorganisaties per direct stoppen met Microsoft 365?
Nee, het beleid schrijft geen onmiddellijke stopzetting voor, maar verplicht organisaties om een exitplan op te stellen en te onderbouwen waarom gebruik van een niet-EER-leverancier voor kerntaken gerechtvaardigd is. Voor nieuwe contracten gelden de strengere regels direct; bestaande contracten worden beoordeeld bij de eerstvolgende verlengingsdatum.
Wat is het verschil tussen het Rijkscloudbeleid en de Visie Digitale Autonomie en Soevereiniteit?
De Visie Digitale Autonomie en Soevereiniteit (december 2025) is een strategisch beleidsdocument dat de koers beschrijft voor de brede digitale onafhankelijkheid van de Nederlandse overheid. Het Rijkscloudbeleid 2026 is de operationele uitwerking: het legt concrete verplichtingen, drempelwaarden en procedures vast voor cloudgebruik door rijksorganisaties.
Wat moet een exitplan minimaal bevatten?
Een exitplan moet minimaal bevatten: een inventarisatie van alle datastromen en afhankelijkheden van de betreffende cloudleverancier, een migratieroute naar een alternatieve bij voorkeur EER-gebaseerde of on-premise oplossing, een verantwoordelijkheidsmatrix met eigenaren per stap, en een realistische tijdlijn. Het plan moet vóór ingebruikname van de betreffende publieke clouddienst gereed en bestuurlijk vastgesteld zijn.
Hoe verhoudt de CLOUD Act zich tot de AVG bij gebruik van Amerikaanse clouddiensten?
De Amerikaanse CLOUD Act (2018) verplicht Amerikaanse bedrijven om op vordering van Amerikaanse autoriteiten toegang te verlenen tot gegevens, ook als die buiten de VS zijn opgeslagen. Dit botst met artikel 48 van de AVG, dat overdracht van persoonsgegevens op basis van een buitenlandse rechterlijke last zonder EU-rechtsbasis verbiedt. Er bestaat geen adequaatheidsbesluit of bindend juridisch mechanisme dat dit conflict volledig en definitief oplost.
